개인정보보호위원회
결 정
주식회사 구글(Google Inc.)의 개인정보 취급방침 개선 의견
의결일: 2012년 6월 11일
요지
안건명 : 주식회사 구글(Google Inc.)의 개인정보 취급방침 개선 의견
주문
1. 주식회사 구글(이하 '구글’이라고 함)은 개인정보 취급방침에 개인정보 수집목적을 포괄적으로 설정하고, 개인정보 수집ㆍ이용 등에 대해 사용자에게 선택권을 부여하지 않고 일괄적으로 동의를 구하고 있으며, 필요 이상의 기간 동안 개인정보를 보유할 수 있도록 함으로써 결과적으로 개인정보의 과다수집과 오남용 소지가 있다.
2. 이에 따라 개인정보보호위원회는 구글의 개인정보 수집ㆍ이용행위가 '목적의 명확화’와 '개인정보 최소수집’을 규정한 「개인정보보호법」 제3조, 제16조 및 「정보통신망 이용촉진 및 정보보호에 관한 법률(이하 '정보통신망법’이라고 함)」 제23조와 '개인정보 수집ㆍ이용 시 동의’를 규정한 「개인정보보호법」 제15조, 제22조 및 「정보통신망법」 제22조, 제26조의2 그리고 '개인정보의 파기’를 규정한 「개인정보 보호법」 제21조, 제36조, 제37조 및 「정보통신망법」 제29조, 제30조 위반 소지가 있다고 판단하여 구글의 개인정보취급방침이 다음과 같이 개선되어야 한다는 의견을 표명하기로 하였다.
1) 개인정보 수집 목적을 보다 명확하게 규정하고, 그 규정한 목적과 해당 서비스에 필요한 최소한의 개인정보를 수집ㆍ이용하도록 할 것
2) 개인정보를 '수집 당시 목적’과 다른 용도로 이용하거나 개인별 맞춤형 콘텐츠 제공 등 사용자의 개별적 선택권을 존중해야 하는 서비스에 대해서는 별도로 동의를 받도록 할 것
3) 개인정보의 보유기간이 만료되거나 정보주체의 파기요청이 있으면 해당 개인정보를 지체 없이 파기한다는 원칙을 방침에 명시할 것
2. 이에 따라 개인정보보호위원회는 구글의 개인정보 수집ㆍ이용행위가 '목적의 명확화’와 '개인정보 최소수집’을 규정한 「개인정보보호법」 제3조, 제16조 및 「정보통신망 이용촉진 및 정보보호에 관한 법률(이하 '정보통신망법’이라고 함)」 제23조와 '개인정보 수집ㆍ이용 시 동의’를 규정한 「개인정보보호법」 제15조, 제22조 및 「정보통신망법」 제22조, 제26조의2 그리고 '개인정보의 파기’를 규정한 「개인정보 보호법」 제21조, 제36조, 제37조 및 「정보통신망법」 제29조, 제30조 위반 소지가 있다고 판단하여 구글의 개인정보취급방침이 다음과 같이 개선되어야 한다는 의견을 표명하기로 하였다.
1) 개인정보 수집 목적을 보다 명확하게 규정하고, 그 규정한 목적과 해당 서비스에 필요한 최소한의 개인정보를 수집ㆍ이용하도록 할 것
2) 개인정보를 '수집 당시 목적’과 다른 용도로 이용하거나 개인별 맞춤형 콘텐츠 제공 등 사용자의 개별적 선택권을 존중해야 하는 서비스에 대해서는 별도로 동의를 받도록 할 것
3) 개인정보의 보유기간이 만료되거나 정보주체의 파기요청이 있으면 해당 개인정보를 지체 없이 파기한다는 원칙을 방침에 명시할 것
이유
Ⅰ. 권고 배경
구글은 2012년 1월 24일 검색ㆍ메일ㆍ유튜브 등 60여개 서비스 사용자의 「개인정보 취급방침」을 같은 해 3월 1일부터 통합하겠다는 계획을 발표하였다. 이에 EU 등은 개인정보 오남용 소지를 우려하며 조사가 끝날 때까지 방침통합을 연기할 것을 요청한 바 있으나 구글은 지난 3월 1일 예정대로 통합을 진행하였다.
한편, 우리나라는 2012년 2월 28일 방송통신위원회가 3월 1일부터 변경되는 구글의 「개인정보취급방침」이 「정보통신망법」 규정 준수에 일부 미흡할 수 있다고 지적하고 이를 개선할 것을 권고하였다. 이에 대하여 구글은 4월 16일 취급방침에 이용목적, 수집정보, 복수계정 이용 등의 안내를 골자로 하는 '한국 거주자를 위한 개인정보관련 추가 정보’를 게시하였다.(상세 내용【붙임】참조)
개인정보보호위원회는 구글의 「개인정보취급방침」 내용과 방송통신위원회의 지적 그리고 이에 대한 구글의 조치 등을 종합적으로 검토한 결과 현행 구글의 「개인정보 취급방침」이 여전히 「개인정보보호법」과 「정보통신망법」을 위반할 소지가 있다고 판단하였다.
Ⅱ. 판 단
1. '개인정보 처리목적 명확화와 최소수집’ 관련
구글은 개인정보취급방침에 개인정보 수집ㆍ이용의 목적을 포괄적으로 설정하고 이를 근거로 과다한 개인정보를 수집할 수 있도록 함으로써 「개인정보보호법」 제3조 및 제16조, 「정보통신망법」 제23조 위반 소지가 있다.
가. 법률의 규정
「개인정보보호법」은 “개인정보처리자는 개인정보의 처리 목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다.”(제3조 제1항), “개인정보를 수집하는 경우 그 목적에 필요한 최소한의 개인정보를 수집 하여야 한다. 이 경우 최소한의 개인정보 수집이라는 입증책임은 개인정보처리자가 부담한다.”(제16조 제1항)라고 각각 규정하고 있다.
또한, 「정보통신망법」은 “정보통신서비스 제공자는 이용자의 개인정보를 수집하는 경우에는 정보통신서비스의 제공을 위하여 필요한 최소한의 정보를 수집하여야 한다.”(제23조 제2항)라고 규정하고 있다.
참고적으로 이와 관련하여 「OECD 프라이버시 가이드라인」에서도 '목적의 명확화 원칙(purpose specification principle)’과 함께 목적 외 이용을 제한하고 있다.
나. 구체적 위반 내용
구글은 개인정보취급방침에서 “모든 사용자에게 더 나은 서비스를 제공하기 위해” 다양한 정보를 수집한다고 밝히고 있다. 또한 “모든 구글 서비스로부터 수집한 정보를 서비스를 제공, 유지, 보호 및 개선하고 새로운 서비스를 개발하며, 구글 및 구글 사용자를 보호하는데 사용합니다. 또한 사용자에게 좀 더 관련성 높은 검색결과 및 광고를 표시하는 등 맞춤형 콘텐츠를 제공하기 위해 이러한 정보를 사용합니다.”라고 기재하고 있다.
이러한 구글의 개인정보 수집ㆍ이용 목적은 매우 포괄적이어서 이를 토대로 한 과도한 개인정보의 수집ㆍ이용 소지가 있다고 판단된다. 아울러 “더 나은 서비스를 제공하기 위해” 또는 “새로운 서비스를 개발”하기 위해 개인정보를 수집ㆍ이용한다는 것은 현재는 물론 장래를 향하여 무제한적인 개인정보 수집을 정당화해 줄 수 있는 근거로 작용할 우려가 있다.
또한, “구글 및 구글 사용자를 보호”하기 위하여 개인정보를 사용한다는 규정은 구글의 서비스와 직접적 관계가 없을 뿐만 아니라 구체적 목적을 생략하고 있어 과잉 적용 여지가 다분하다. 이 규정은 종전 방침의 '구글 또는 구글 사용자의 권한 및 재산 보호’보다 오히려 후퇴한 것으로서 개인정보 처리 목적을 명확히 하도록 하는 관련 법 정신에 위배되는 것이다.
구글은 방침에서 ①사용자가 제공하는 정보(이름, 이메일 주소, 전화번호 또는 신용 카드)와 ②사용자가 서비스를 사용할 때 수집하는 정보(기기정보, 로그정보, 위치정보, 고유한 어플리케이션 번호, 로컬 저장소, 쿠키 및 익명식별자)를 수집할 수 있다고 밝히고 있다.
그러나 이러한 것들은 구글이 수집할 수 있는 정보의 예시에 불과한 것으로 보인다. 구글은 다른 사용자와 정보를 공유할 수 있으며 하나의 서비스에 제공한 개인정보를 다른 구글 서비스의 정보(개인정보 포함)와 조합할 수 있도록 하고 있다. 이러한 정보의 공유와 조합 등을 통해 구글은 기본적인 정보 외에 “사용자가 온라인에서 가장 중요하게 여기는 사람과 같은 좀 더 복잡한 정보”까지 수집할 수 있도록 규정하고 있다. 이러한 과정에서 개인의 관심과 성향 등 행태를 나타낼 수 있는 다양한 개인정보가 생성되고 이용될 수 있는데 이 중에는 이용자가 당초 개인정보를 제공할 당시 의도하지 않았고 또한 원치 않았던 민감한 개인정보가 수집ㆍ이용될 수 있다.
예를 들어 구글 보이스를 이용하는 경우 각종 통화기록(발ㆍ수신 전화번호, 통화일시, 시간 등)이 수집될 수 있으며, 구글 지도를 활성화할 경우 이용자의 위치정보가 수집될 수 있다. 그런데 이 두 정보가 조합될 경우 누가, 언제, 어디서, 무엇을 하였는가 하는 보다 구체적인 정보가 생성될 수 있으며 이러한 정보의 축적을 통해 개인의 습관과 동향도 파악될 수 있다. 이것은 민감한 프라이버시 영역으로서 방침의 기재내용을 통해 수집ㆍ이용될 수 있는 범위를 넘어서는 과도한 개인정보로 볼 수 있는 것이다.
2. 개인정보 수집ㆍ이용시 동의 절차 관련
구글은 방침 통합을 통해 60여개 서비스별로 각각 수집된 개인정보를 포괄적 목적 하에 나열하고 일률적 동의를 구하면서, 동의에 필요한 필수고지 사항(수집 개인정보 항목 또는 유형별 목적, 보유기간 등)을 명확히 적시하지 않고 있는 등 개인정보의 수집ㆍ이용에 필요한 동의 절차에 있어서 「개인정보보호법」 제15조, 제18조, 제22조 및 「정보통신망법」 제22조, 제26조의2 위반 소지가 있다.
가. 법률의 규정
「개인정보보호법」에 따르면 개인정보처리자는 동의를 받을 때에는 “1. 개인정보의 수집ㆍ이용 목적 2. 수집하려는 개인정보의 항목 3. 개인정보의 보유 및 이용 기간 등”을 정보주체에게 알려야 하며 그 중 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다.(제15조 제2항) 그리고 “정보주체의 동의를 받으려는 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받아야 한다.”(제22조 제1항) 또한 개인정보를 목적외의 용도로 이용하거나 이를 제3자에게 제공할 경우 정보주체의 별도의 동의를 받도록 하고 있다.(제18조 제2항)
한편, 「정보통신망법」에서는 정보통신서비스 제공자는 이용자의 개인정보를 이용하려고 수집하는 경우 “1. 개인정보의 수집ㆍ이용 목적 2. 수집하는 개인정보의 항목 3. 개인 정보의 보유ㆍ이용 기간”을 이용자에게 알리고 동의를 받아야 하며 그 중 어느 하나의 사항을 변경하려는 경우에도 역시 동의를 받도록”(제22조 제1항) 규정하고 있다.
나. 구체적 위반 내용
구글은 60여개 서비스의 방침을 하나로 통합하면서 기존에 서비스별로 수집하였던 개인정보를 통합방침에 일괄 열거하여 동의를 구하고 있다. 이에 따라 사용자는 자신의 특정 개인정보가 어떠한 서비스를 위해 수집되고 또 어떻게 이용되는지 파악하기 어렵게 되었으며 개인정보의 서비스 간 이동이 자유로워짐에 따라 목적 외 이용 등 오남용 소지가 커지게 되었다.
이와 관련하여, 구글은 종전 방침에서“수집 당시 목적과 다른 용도로 개인정보를 이용할 경우 구글은 정보이용에 앞서 사용자의 동의를 요청”한다고 기재하였으나, 현 통합방침에는 “수집당시 목적” 대신 “취급방침에 명시된 목적”과 다른 용도로 정보를 이용할 경우 구글은 먼저 사용자의 동의를 요청하는 것으로 변경하였다. 이에 따라 기 지적한 구글 방침의 포괄적 목적을 감안할 때 개인정보를 별도의 동의절차 없이 목적외 이용할 수 있는 여지가 확대되었다고 판단된다.
구글은 '서비스 개선’ 또는 '사용자 편의’를 명분으로 방침에 개인정보를 서로 다른 서비스 간 조합할 수 있다고 규정하고 있다. 이러한 조합을 통해 생성될 수 있는 새로운 정보는 매우 다양한 것으로서 사용자가 예측하기 어렵다. 그럼에도 불구하고 방침을 통해 일괄 동의를 구하는 것은 관련 법령을 위반하여 개인의 선택권을 제한한 것이라고 판단된다. 구글의 종전 방침에는 개인정보를 다른 서비스나 제3자가 제공하는 정보와 통합함에 있어서 “일부 서비스에서는 이러한 정보 통합을 허용하지 않도록 사용자가 선택” 할 수 있는 여지가 있었으나 현 통합 방침에는 해당 내용이 삭제되었다.
또한 구글의 소위 '맞춤형 콘텐츠’는 그 성격상 개인별로 맞추어지는 서비스로서 그 내용과 수준 등은 개인별로 선택되어야 할 사항이다. 따라서 맞춤형 콘텐츠 제공에 대해서는 통합 방침을 통해 일괄적으로 동의를 받기보다는 그 구체적 내용을 제시하고 사용자가 개별적으로 선택(동의)할 수 있도록 하여야 한다고 판단된다.
3. 개인정보 파기 관련
구글은 개인정보취급방침에 개인정보의 보유기간을 명시하지 않고 있으며, 사용자의 삭제요청이 있을 경우 해당 정보를 지체 없이 삭제한다는 내용을 명기하지 않고 있는 등 「개인정보보호법」 제15조, 제21조, 제36조, 제37조 및 「정보통신망법」 제29조, 제30조 위반 소지가 있다.
가. 법률의 규정
「개인정보보호법」은 개인정보를 수집할 경우 '개인정보의 보유 및 이용기간’을 정보 주체에게 알리고(제15조 제2항) '보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기’ 하도록 규정하고 있으며(제21조 제1항), “개인정보처리자는 지체 없이 정보주체의 요구에 따라 정정ㆍ삭제 등 필요한 조치를 한 후 그 결과를 정보주체에게 알려야”하며(제36조 제2항), “개인정보 처리자는 정보주체의 요구에 따라 처리가 정지된 개인정보에 대하여 지체 없이 해당 개인정보의 파기 등 필요한 조치를 하여야 한다.”(제37조 제4항) 라고 규정하고 있다.
한편, 「정보통신망법」은 '정보통신서비스 제공자 등’은 “1. 개인정보의 수집ㆍ이용 목적을 달성한 경우 2. 동의를 받은 개인정보의 보유 및 이용 기간이 끝난 경우” 해당 개인정보를 지체 없이 파기하여야 하며(제29조) “정보통신서비스 제공자등은 이용자가 제1항에 따라 동의를 철회하면 지체 없이 수집된 개인정보를 파기하는 등 필요한 조치를 하여야 한다.”(제30조 제3항) 라고 규정하고 있다.
나. 구체적 위반 내용
구글은 “한국 거주자를 위한 개인정보 관련 추가 정보”에서 '개인정보의 보유와 파기’에 대해 보다 상세한 정보를 제공한 바 있다. 그러나 여전히 개인정보 보유 및 이용기간을 명시하지 않고 있으며, 정보주체의 파기요청이 있는 경우에도 '사용자의 삭제 요청에 따라 해당 개인정보를 삭제하기 위하여 성실하게 노력’한다는 내용과 구글의 아카이브(archive, 기록보관) 시스템에 대한 설명에 그치고 있다. 국내 관련법 규정과 국제적으로 논의되고 있는 '잊혀질 권리’ 보장을 위해 구글은 사용자의 삭제 요청에 대해 '성실하게 노력’ 할 것이 아니라 '파기’하겠다고 방침에 명시하는 등 관련 내용을 개선할 필요성이 있다고 판단된다.
【붙임】구글 “한국 거주자를 위한 개인정보관련 추가 정보”
(’12. 4. 16. 구글 개인정보취급방침에 게시)
<img src="/LSW/flDownload.do?flSeq=117368699" alt="1번째 이미지"></img>
구글은 2012년 1월 24일 검색ㆍ메일ㆍ유튜브 등 60여개 서비스 사용자의 「개인정보 취급방침」을 같은 해 3월 1일부터 통합하겠다는 계획을 발표하였다. 이에 EU 등은 개인정보 오남용 소지를 우려하며 조사가 끝날 때까지 방침통합을 연기할 것을 요청한 바 있으나 구글은 지난 3월 1일 예정대로 통합을 진행하였다.
한편, 우리나라는 2012년 2월 28일 방송통신위원회가 3월 1일부터 변경되는 구글의 「개인정보취급방침」이 「정보통신망법」 규정 준수에 일부 미흡할 수 있다고 지적하고 이를 개선할 것을 권고하였다. 이에 대하여 구글은 4월 16일 취급방침에 이용목적, 수집정보, 복수계정 이용 등의 안내를 골자로 하는 '한국 거주자를 위한 개인정보관련 추가 정보’를 게시하였다.(상세 내용【붙임】참조)
개인정보보호위원회는 구글의 「개인정보취급방침」 내용과 방송통신위원회의 지적 그리고 이에 대한 구글의 조치 등을 종합적으로 검토한 결과 현행 구글의 「개인정보 취급방침」이 여전히 「개인정보보호법」과 「정보통신망법」을 위반할 소지가 있다고 판단하였다.
Ⅱ. 판 단
1. '개인정보 처리목적 명확화와 최소수집’ 관련
구글은 개인정보취급방침에 개인정보 수집ㆍ이용의 목적을 포괄적으로 설정하고 이를 근거로 과다한 개인정보를 수집할 수 있도록 함으로써 「개인정보보호법」 제3조 및 제16조, 「정보통신망법」 제23조 위반 소지가 있다.
가. 법률의 규정
「개인정보보호법」은 “개인정보처리자는 개인정보의 처리 목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다.”(제3조 제1항), “개인정보를 수집하는 경우 그 목적에 필요한 최소한의 개인정보를 수집 하여야 한다. 이 경우 최소한의 개인정보 수집이라는 입증책임은 개인정보처리자가 부담한다.”(제16조 제1항)라고 각각 규정하고 있다.
또한, 「정보통신망법」은 “정보통신서비스 제공자는 이용자의 개인정보를 수집하는 경우에는 정보통신서비스의 제공을 위하여 필요한 최소한의 정보를 수집하여야 한다.”(제23조 제2항)라고 규정하고 있다.
참고적으로 이와 관련하여 「OECD 프라이버시 가이드라인」에서도 '목적의 명확화 원칙(purpose specification principle)’과 함께 목적 외 이용을 제한하고 있다.
나. 구체적 위반 내용
구글은 개인정보취급방침에서 “모든 사용자에게 더 나은 서비스를 제공하기 위해” 다양한 정보를 수집한다고 밝히고 있다. 또한 “모든 구글 서비스로부터 수집한 정보를 서비스를 제공, 유지, 보호 및 개선하고 새로운 서비스를 개발하며, 구글 및 구글 사용자를 보호하는데 사용합니다. 또한 사용자에게 좀 더 관련성 높은 검색결과 및 광고를 표시하는 등 맞춤형 콘텐츠를 제공하기 위해 이러한 정보를 사용합니다.”라고 기재하고 있다.
이러한 구글의 개인정보 수집ㆍ이용 목적은 매우 포괄적이어서 이를 토대로 한 과도한 개인정보의 수집ㆍ이용 소지가 있다고 판단된다. 아울러 “더 나은 서비스를 제공하기 위해” 또는 “새로운 서비스를 개발”하기 위해 개인정보를 수집ㆍ이용한다는 것은 현재는 물론 장래를 향하여 무제한적인 개인정보 수집을 정당화해 줄 수 있는 근거로 작용할 우려가 있다.
또한, “구글 및 구글 사용자를 보호”하기 위하여 개인정보를 사용한다는 규정은 구글의 서비스와 직접적 관계가 없을 뿐만 아니라 구체적 목적을 생략하고 있어 과잉 적용 여지가 다분하다. 이 규정은 종전 방침의 '구글 또는 구글 사용자의 권한 및 재산 보호’보다 오히려 후퇴한 것으로서 개인정보 처리 목적을 명확히 하도록 하는 관련 법 정신에 위배되는 것이다.
구글은 방침에서 ①사용자가 제공하는 정보(이름, 이메일 주소, 전화번호 또는 신용 카드)와 ②사용자가 서비스를 사용할 때 수집하는 정보(기기정보, 로그정보, 위치정보, 고유한 어플리케이션 번호, 로컬 저장소, 쿠키 및 익명식별자)를 수집할 수 있다고 밝히고 있다.
그러나 이러한 것들은 구글이 수집할 수 있는 정보의 예시에 불과한 것으로 보인다. 구글은 다른 사용자와 정보를 공유할 수 있으며 하나의 서비스에 제공한 개인정보를 다른 구글 서비스의 정보(개인정보 포함)와 조합할 수 있도록 하고 있다. 이러한 정보의 공유와 조합 등을 통해 구글은 기본적인 정보 외에 “사용자가 온라인에서 가장 중요하게 여기는 사람과 같은 좀 더 복잡한 정보”까지 수집할 수 있도록 규정하고 있다. 이러한 과정에서 개인의 관심과 성향 등 행태를 나타낼 수 있는 다양한 개인정보가 생성되고 이용될 수 있는데 이 중에는 이용자가 당초 개인정보를 제공할 당시 의도하지 않았고 또한 원치 않았던 민감한 개인정보가 수집ㆍ이용될 수 있다.
예를 들어 구글 보이스를 이용하는 경우 각종 통화기록(발ㆍ수신 전화번호, 통화일시, 시간 등)이 수집될 수 있으며, 구글 지도를 활성화할 경우 이용자의 위치정보가 수집될 수 있다. 그런데 이 두 정보가 조합될 경우 누가, 언제, 어디서, 무엇을 하였는가 하는 보다 구체적인 정보가 생성될 수 있으며 이러한 정보의 축적을 통해 개인의 습관과 동향도 파악될 수 있다. 이것은 민감한 프라이버시 영역으로서 방침의 기재내용을 통해 수집ㆍ이용될 수 있는 범위를 넘어서는 과도한 개인정보로 볼 수 있는 것이다.
2. 개인정보 수집ㆍ이용시 동의 절차 관련
구글은 방침 통합을 통해 60여개 서비스별로 각각 수집된 개인정보를 포괄적 목적 하에 나열하고 일률적 동의를 구하면서, 동의에 필요한 필수고지 사항(수집 개인정보 항목 또는 유형별 목적, 보유기간 등)을 명확히 적시하지 않고 있는 등 개인정보의 수집ㆍ이용에 필요한 동의 절차에 있어서 「개인정보보호법」 제15조, 제18조, 제22조 및 「정보통신망법」 제22조, 제26조의2 위반 소지가 있다.
가. 법률의 규정
「개인정보보호법」에 따르면 개인정보처리자는 동의를 받을 때에는 “1. 개인정보의 수집ㆍ이용 목적 2. 수집하려는 개인정보의 항목 3. 개인정보의 보유 및 이용 기간 등”을 정보주체에게 알려야 하며 그 중 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다.(제15조 제2항) 그리고 “정보주체의 동의를 받으려는 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받아야 한다.”(제22조 제1항) 또한 개인정보를 목적외의 용도로 이용하거나 이를 제3자에게 제공할 경우 정보주체의 별도의 동의를 받도록 하고 있다.(제18조 제2항)
한편, 「정보통신망법」에서는 정보통신서비스 제공자는 이용자의 개인정보를 이용하려고 수집하는 경우 “1. 개인정보의 수집ㆍ이용 목적 2. 수집하는 개인정보의 항목 3. 개인 정보의 보유ㆍ이용 기간”을 이용자에게 알리고 동의를 받아야 하며 그 중 어느 하나의 사항을 변경하려는 경우에도 역시 동의를 받도록”(제22조 제1항) 규정하고 있다.
나. 구체적 위반 내용
구글은 60여개 서비스의 방침을 하나로 통합하면서 기존에 서비스별로 수집하였던 개인정보를 통합방침에 일괄 열거하여 동의를 구하고 있다. 이에 따라 사용자는 자신의 특정 개인정보가 어떠한 서비스를 위해 수집되고 또 어떻게 이용되는지 파악하기 어렵게 되었으며 개인정보의 서비스 간 이동이 자유로워짐에 따라 목적 외 이용 등 오남용 소지가 커지게 되었다.
이와 관련하여, 구글은 종전 방침에서“수집 당시 목적과 다른 용도로 개인정보를 이용할 경우 구글은 정보이용에 앞서 사용자의 동의를 요청”한다고 기재하였으나, 현 통합방침에는 “수집당시 목적” 대신 “취급방침에 명시된 목적”과 다른 용도로 정보를 이용할 경우 구글은 먼저 사용자의 동의를 요청하는 것으로 변경하였다. 이에 따라 기 지적한 구글 방침의 포괄적 목적을 감안할 때 개인정보를 별도의 동의절차 없이 목적외 이용할 수 있는 여지가 확대되었다고 판단된다.
구글은 '서비스 개선’ 또는 '사용자 편의’를 명분으로 방침에 개인정보를 서로 다른 서비스 간 조합할 수 있다고 규정하고 있다. 이러한 조합을 통해 생성될 수 있는 새로운 정보는 매우 다양한 것으로서 사용자가 예측하기 어렵다. 그럼에도 불구하고 방침을 통해 일괄 동의를 구하는 것은 관련 법령을 위반하여 개인의 선택권을 제한한 것이라고 판단된다. 구글의 종전 방침에는 개인정보를 다른 서비스나 제3자가 제공하는 정보와 통합함에 있어서 “일부 서비스에서는 이러한 정보 통합을 허용하지 않도록 사용자가 선택” 할 수 있는 여지가 있었으나 현 통합 방침에는 해당 내용이 삭제되었다.
또한 구글의 소위 '맞춤형 콘텐츠’는 그 성격상 개인별로 맞추어지는 서비스로서 그 내용과 수준 등은 개인별로 선택되어야 할 사항이다. 따라서 맞춤형 콘텐츠 제공에 대해서는 통합 방침을 통해 일괄적으로 동의를 받기보다는 그 구체적 내용을 제시하고 사용자가 개별적으로 선택(동의)할 수 있도록 하여야 한다고 판단된다.
3. 개인정보 파기 관련
구글은 개인정보취급방침에 개인정보의 보유기간을 명시하지 않고 있으며, 사용자의 삭제요청이 있을 경우 해당 정보를 지체 없이 삭제한다는 내용을 명기하지 않고 있는 등 「개인정보보호법」 제15조, 제21조, 제36조, 제37조 및 「정보통신망법」 제29조, 제30조 위반 소지가 있다.
가. 법률의 규정
「개인정보보호법」은 개인정보를 수집할 경우 '개인정보의 보유 및 이용기간’을 정보 주체에게 알리고(제15조 제2항) '보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기’ 하도록 규정하고 있으며(제21조 제1항), “개인정보처리자는 지체 없이 정보주체의 요구에 따라 정정ㆍ삭제 등 필요한 조치를 한 후 그 결과를 정보주체에게 알려야”하며(제36조 제2항), “개인정보 처리자는 정보주체의 요구에 따라 처리가 정지된 개인정보에 대하여 지체 없이 해당 개인정보의 파기 등 필요한 조치를 하여야 한다.”(제37조 제4항) 라고 규정하고 있다.
한편, 「정보통신망법」은 '정보통신서비스 제공자 등’은 “1. 개인정보의 수집ㆍ이용 목적을 달성한 경우 2. 동의를 받은 개인정보의 보유 및 이용 기간이 끝난 경우” 해당 개인정보를 지체 없이 파기하여야 하며(제29조) “정보통신서비스 제공자등은 이용자가 제1항에 따라 동의를 철회하면 지체 없이 수집된 개인정보를 파기하는 등 필요한 조치를 하여야 한다.”(제30조 제3항) 라고 규정하고 있다.
나. 구체적 위반 내용
구글은 “한국 거주자를 위한 개인정보 관련 추가 정보”에서 '개인정보의 보유와 파기’에 대해 보다 상세한 정보를 제공한 바 있다. 그러나 여전히 개인정보 보유 및 이용기간을 명시하지 않고 있으며, 정보주체의 파기요청이 있는 경우에도 '사용자의 삭제 요청에 따라 해당 개인정보를 삭제하기 위하여 성실하게 노력’한다는 내용과 구글의 아카이브(archive, 기록보관) 시스템에 대한 설명에 그치고 있다. 국내 관련법 규정과 국제적으로 논의되고 있는 '잊혀질 권리’ 보장을 위해 구글은 사용자의 삭제 요청에 대해 '성실하게 노력’ 할 것이 아니라 '파기’하겠다고 방침에 명시하는 등 관련 내용을 개선할 필요성이 있다고 판단된다.
【붙임】구글 “한국 거주자를 위한 개인정보관련 추가 정보”
(’12. 4. 16. 구글 개인정보취급방침에 게시)
<img src="/LSW/flDownload.do?flSeq=117368699" alt="1번째 이미지"></img>
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).